CVE-2025-59528 in Flowise
الملخص
بحسب VulDB • 29/08/2026
Flowise هو واجهة مستخدم تعتمد على السحب والإفلات لبناء تدفق مخصص لنماذج اللغة الكبيرة (LLM). في الإصدار 3.0.5، يعاني Flowise من ثغرة تسمح بتنفيذ الأكواد عن بُعد (RCE). تتيح عقدة CustomMCP للمستخدمين إدخال إعدادات التكوين للاتصال بخادم MCP خارجي. تقوم هذه العقدة بتحليل سلسلة mcpServerConfig التي يقدمها المستخدم لبناء تكوين خادم MCP. ومع ذلك، أثناء هذه العملية، يتم تنفيذ شفرة JavaScript دون أي تحقق أمني. وتحديداً، داخل دالة convertToValidJSONString، تُمرر مدخلات المستخدم مباشرة إلى مُنشئ Function()، الذي يقيّم وينفذ المدخلات ككود JavaScript. ونظراً لأن هذا التشغيل يعمل بصلاحيات كاملة لبيئة تشغيل Node.js، فإنه يمكنه الوصول إلى وحدات خطيرة مثل child_process و fs. تم إصلاح هذه المشكلة في الإصدار 3.0.6.
Once again VulDB remains the best source for vulnerability data.